Open data et données publiques : guide CADA‑CNIL

1. Cadre général de la publication en ligne et de la réutilisation des données publiques

1. Le « Guide pratique de la publication en ligne et de la réutilisation des données publiques (open data) », élaboré par la CADA et la CNIL en association avec Etalab, analyse les règles applicables à la mise à disposition du public des documents administratifs et des données publiques qu’ils contiennent. Il distingue les règles relatives à la publication (formalités d’entrée en vigueur des actes juridiques, déclenchement de délais, article 1er du code civil) et celles relatives au droit d’accès aux documents administratifs, codifiées au livre III du code des relations entre le public et l’administration (CRPA). L’adoption de la loi pour une République numérique du 7 octobre 2016 marque le passage d’une logique de communication ponctuelle à une logique d’ouverture par défaut des informations détenues par les administrations, afin d’en permettre l’exploitation et la valorisation.

2. Le guide se concentre sur les modalités de mise en ligne et de réutilisation des documents administratifs et données publiques relevant du droit d’accès, communément désignées sous le terme d’open data. Ces données doivent être librement accessibles, mises à disposition dans un format ouvert et réutilisable par toute personne. Le mouvement d’ouverture des données publiques poursuit trois objectifs majeurs : renforcer la transparence de l’action administrative et de la vie démocratique, améliorer l’organisation et la gestion publiques, et susciter l’innovation économique par la création de nouveaux services. En France, ce mouvement a été initié par les collectivités territoriales puis amplifié par l’État via la plateforme data.gouv.fr, la DINSIC, la mission Etalab et la fonction d’administrateur général des données.

3. Le cadre juridique de l’ouverture des données publiques repose sur deux ensembles complémentaires : les dispositions sur le droit d’accès aux documents administratifs (livre III du CRPA et nombreuses législations spéciales) et les dispositions sur la protection des données personnelles (RGPD et loi « Informatique et Libertés »). L’article 86 du RGPD prévoit que les données à caractère personnel figurant dans des documents officiels peuvent être communiquées pour concilier le droit d’accès du public et le droit à la protection des données. Le guide précise que l’entrée en vigueur du RGPD n’a pas modifié le cadre juridique préexistant du droit d’accès aux documents administratifs, mais impose une articulation fine entre CRPA et RGPD.

2. Notion de document administratif et champ des obligations de publication

4. Les obligations de publication en ligne concernent les documents administratifs au sens de l’article L. 300‑2 du CRPA : tout document produit ou reçu par l’administration dans le cadre d’une mission de service public, quels que soient sa date, son lieu de conservation, sa forme ou son support (dossiers, rapports, études, comptes rendus, procès‑verbaux, statistiques, directives, instructions, circulaires, codes sources, etc.). Sont visés les documents détenus par l’État, les collectivités territoriales, les autres personnes de droit public et les personnes de droit privé chargées d’une mission de service public. La qualification de mission de service public pour une personne privée repose sur une grille d’analyse jurisprudentielle (intérêt général de l’activité, contrôle de l’administration, prérogatives de puissance publique, conditions de création, d’organisation et de fonctionnement, obligations imposées, mesures de vérification des objectifs).

5. Seuls les documents ayant un lien suffisamment direct avec l’exercice des missions de service public, ou retraçant les conditions de leur exercice, ont un caractère administratif, à l’exclusion des documents relatifs uniquement au fonctionnement interne de l’organisme privé. Les documents relatifs à la gestion du domaine privé des personnes publiques sont désormais soumis au régime d’accès des documents administratifs. Le document doit exister à la date de la demande ou pouvoir être créé par un traitement automatisé d’usage courant. L’administration n’est pas tenue d’élaborer un document ni de numériser un document papier, sauf lorsque la loi impose la création d’un document ad hoc (par exemple, règles définissant les principaux traitements algorithmiques ou information environnementale).

6. Le droit d’accès et les obligations de publication en ligne ne s’appliquent ni aux documents inachevés ni aux documents préparatoires tant que la décision qu’ils préparent n’est pas intervenue ou que l’administration n’y a pas renoncé. Les archives publiques issues des opérations de sélection prévues aux articles L. 212‑2 et L. 212‑3 du code du patrimoine ne sont pas soumises aux obligations de publication. Le guide souligne que la publication n’implique pas nécessairement la diffusion intégrale du document : l’administration doit s’interroger sur la nécessité d’occulter certaines informations non communicables ou de procéder à une anonymisation (voir infra).

3. Obligations de publication en ligne prévues par le CRPA

7. L’article L. 312‑1 du CRPA consacre la faculté générale pour les administrations de publier les documents administratifs qu’elles produisent ou reçoivent. Des obligations légales de publication sont également prévues. L’article L. 311‑9 introduit la mise en ligne sur demande : la publication constitue une modalité de communication à l’initiative du demandeur, qui peut demander à l’administration de procéder à la mise en ligne, sous réserve des moyens techniques disponibles. Les personnes morales de droit public et de droit privé chargées d’une mission de service public bénéficient aussi du droit d’accès pour l’accomplissement de leurs missions.

8. L’article L. 312‑1‑1 organise la mise en ligne par défaut pour les administrations employant plus de 50 ETP (hors collectivités de moins de 3 500 habitants). Elles doivent publier : les documents communiqués en application du CRPA ou de législations spéciales renvoyant au CRPA (par exemple l’article L. 124‑1 du code de l’environnement sur les informations relatives à l’environnement), les documents figurant dans le répertoire des informations publiques (RIP), les bases de données mises à jour régulièrement qu’elles produisent ou reçoivent et qui ne font pas l’objet d’une diffusion publique par ailleurs, ainsi que les données mises à jour de façon régulière dont la publication présente un intérêt économique, social, sanitaire ou environnemental (données de qualité de l’air, données géographiques, données financières, etc.). Le RIP doit indiquer le titre exact, l’objet, la date de création, les conditions de réutilisation, les mises à jour et peut comporter des métadonnées complémentaires (identifiant unique, thème, producteur, fréquence de mise à jour, formats, régime de publication).

9. L’article L. 312‑1‑3 impose aux administrations employant au moins 50 agents de publier en ligne les règles définissant les principaux traitements algorithmiques utilisés dans l’accomplissement de leurs missions lorsque ces traitements fondent des décisions individuelles. Cette obligation concerne les traitements automatisés de données personnelles aboutissant à des décisions telles que l’affectation scolaire, la lutte contre la fraude fiscale ou l’attribution d’un logement social. Elle implique la création d’un document ad hoc recensant les principaux traitements algorithmiques et décrivant, dans un langage compréhensible, les principales règles, étapes et modules de chaque traitement.

4. Obligations de publication issues de législations spéciales

10. De nombreuses législations spéciales prévoient des obligations de mise en ligne, parfois en renvoyant aux modalités du CRPA, parfois en fixant des modalités particulières. En matière de commande publique, l’acheteur doit offrir un accès libre, direct et complet aux données essentielles des marchés publics, des marchés de défense ou de sécurité et des contrats de concession, à l’exception des informations dont la divulgation serait contraire à l’ordre public. Sont concernés les marchés d’un montant au moins égal à 25 000 € HT et les contrats de concession. Les données essentielles sont définies par l’arrêté du 14 avril 2017 modifié.

11. D’autres exemples de législations spéciales prévoyant des modalités particulières de publication incluent : les subventions publiques (article 10 de la loi n° 2000‑321, décret n° 2017‑779 et arrêté du 17 novembre 2017 sur les données essentielles des conventions de subvention), les instructions et circulaires (obligation de publication dans un délai de quatre mois), le répertoire numérique des représentants d’intérêts, les données collectées dans le cadre des contrats de concession, les données détaillées de consommation et de production d’énergie, les données de couverture des services de communication électronique, le système national des données de santé, les données des vitesses maximales autorisées, les données de circulation routière, les données des aires de stationnement, les stations de recharge électrique ou encore les données des services réguliers de transport public et de mobilité. Ces dispositifs illustrent la diversité des champs couverts par l’open data sectoriel.

12. L’article L. 311‑2 du CRPA consacre l’exception de diffusion publique : lorsqu’un document a déjà fait l’objet d’une diffusion publique (librement accessible), l’administration est dispensée de l’obligation de le communiquer sur demande. Le guide distingue la publication de documents ou données statiques de celle de bases de données dynamiques devant être régulièrement mises à jour. Pour ces dernières, la mise en ligne doit se faire dans un format et avec une périodicité permettant une réutilisation dans un délai raisonnable et utile. La publication de données statiques issues d’une base ne suffit pas à opposer l’exception de diffusion publique pour l’ensemble de la base dynamique.

5. Contenu des documents publiés : secrets protégés, vie privée et droits d’auteur

13. Pour être publiable, un document doit être communicable à toute personne et ne pas contenir de données couvertes par un secret protégé par le CRPA, sauf dispositions législatives ou réglementaires contraires. Les articles L. 311‑5 et L. 311‑6 imposent l’occultation des mentions protégées avant publication : secrets des délibérations du Gouvernement, de la défense nationale, de la politique extérieure, de la sûreté de l’État, de la sécurité publique, de la sécurité des personnes ou des systèmes d’information, de la monnaie et du crédit public, du déroulement des procédures juridictionnelles, de la recherche et prévention des infractions, ainsi que les autres secrets protégés par la loi. Sont également protégées les mentions portant atteinte à la protection de la vie privée, au secret médical et au secret des affaires, les appréciations ou jugements de valeur sur une personne physique identifiée ou identifiable, et les mentions faisant apparaître un comportement dont la divulgation pourrait porter préjudice.

14. L’occultation consiste à masquer ou retirer les données confidentielles. L’administration n’est pas tenue de communiquer ni de publier un document lorsque les travaux d’occultation le dénatureraient ou le viderait de sens, ou lorsque le document est indivisible ou l’occultation trop complexe (grand nombre de mentions couvertes, difficulté technique). Les documents protégés deviennent librement communicables, sans occultation, à l’expiration des délais de l’article L. 213‑2 du code du patrimoine, ou par dérogation (article L. 213‑3). Par ailleurs, l’article L. 311‑4 du CRPA rappelle la réserve des droits de propriété littéraire et artistique : lorsque des tiers détiennent des droits de propriété intellectuelle sur un document, l’administration doit, en principe, solliciter leur autorisation avant communication ou publication, sauf si l’œuvre a déjà fait l’objet d’une divulgation au sens du code de la propriété intellectuelle. Pour les agents publics, le droit de divulgation s’exerce dans le respect des règles du CRPA et ne peut faire obstacle au droit d’accès.

15. L’article L. 312‑1‑2 introduit la réserve des « dispositions législatives ou réglementaires contraires » : lorsque des textes spéciaux prévoient une obligation de publication et manifestent l’intention de lever certains secrets, la publication peut intervenir sans occultation des mentions protégées par les articles L. 311‑5 et L. 311‑6. Le guide cite notamment les dispositions du code général des collectivités territoriales (CGCT) relatives à la communication des procès‑verbaux, budgets, comptes et arrêtés, ainsi que le régime des informations environnementales (articles L. 124‑1 et suivants du code de l’environnement). Dans ce dernier cas, les informations relatives à l’environnement sont définies largement (état des éléments de l’environnement, décisions et activités susceptibles d’avoir des incidences, état de la santé humaine, analyses coûts‑avantages, etc.) et bénéficient d’une obligation de transparence renforcée, en particulier pour les informations relatives à des émissions de substances dans l’environnement, dont la communication ne peut être refusée que pour des motifs limitativement énumérés.

6. Données à caractère personnel : anonymisation et dispositions législatives contraires

16. Le guide consacre une analyse détaillée au sort des données à caractère personnel. Lorsque ces données relèvent de la vie privée, elles sont couvertes par le secret et ne peuvent être communiquées à des tiers ni publiées. Sont notamment visées la date de naissance, l’âge, les coordonnées personnelles (adresse postale, électronique, numéro de téléphone), la situation patrimoniale et financière (patrimoine immobilier, revenus, aides, impôts, domiciliation bancaire, identification des comptes), la qualité de travailleur handicapé, la formation initiale, les horaires de travail, les sympathies politiques, l’appartenance à un parti politique ou les croyances religieuses. D’autres données personnelles, comme le nom et le prénom, ne sont pas, en tant que tels, couverts par le secret de la vie privée et peuvent être communiqués, sous réserve du contexte.

17. Par principe, la diffusion en ligne de données à caractère personnel est proscrite, sauf dans trois hypothèses : existence d’une disposition législative contraire autorisant explicitement la diffusion sans anonymisation, consentement libre, spécifique, éclairé et univoque des personnes concernées (au sens de l’article 4 du RGPD), ou appartenance du document à l’une des catégories de documents administratifs pouvant être rendus publics sans anonymisation listées à l’article D. 312‑1‑3 du CRPA (documents nécessaires à l’information du public dans différents domaines de l’action publique). La CADA et la CNIL soulignent que la diffusion sans anonymisation reste une faculté et que l’opportunité doit être appréciée au regard de l’intérêt du public et des risques d’atteinte à la vie privée ou à la sécurité des personnes. L’anonymisation demeure pertinente pour des données dépourvues d’utilité pour l’information du public, afin d’éviter une exposition démesurée de la vie privée.

18. L’anonymisation doit être construite au cas par cas, en transformant les données pour qu’elles ne se réfèrent plus à une personne réelle et en les généralisant pour qu’elles ne soient plus spécifiques à un individu mais communes à un ensemble. Trois critères sont mis en avant : individualisation (possibilité d’isoler un individu), corrélation (possibilité de relier des ensembles de données distincts concernant un même individu) et inférence (possibilité de déduire de l’information sur un individu). Un ensemble de données ne peut être considéré comme anonyme que si ces critères sont maîtrisés, après une analyse détaillée des risques de ré‑identification. Le guide recommande de proscrire l’indexation par des moteurs de recherche externes des données identifiantes publiées sans anonymisation, afin que la consultation résulte d’une démarche volontaire depuis les plateformes dédiées à l’open data (utilisation de robots.txt, captcha, etc.).

7. Modalités de diffusion en ligne : RGPD, formats ouverts et sécurité

19. Lorsque la diffusion de données à caractère personnel est autorisée, la publication en open data constitue un traitement au sens de l’article 4 du RGPD. L’administration qui diffuse devient responsable de traitement et doit respecter les principes de protection des données : information des personnes concernées (au moment de la collecte et sur l’espace en ligne), droit d’opposition (article 21, pour des raisons tenant à la situation particulière, sous réserve de motifs légitimes et impérieux), exactitude des données (mise à jour, recours à des API pour synchroniser les données sources et les données publiées), limitation de la durée de conservation (suppression de la publication lors de la suppression ou de l’archivage définitif du document), et sécurisation des données (mesures techniques et organisationnelles pour garantir la disponibilité, l’authenticité et l’intégrité des données). Un focus particulier est consacré aux archives publiques définitives, susceptibles de contenir des données sensibles ou relatives aux infractions, pour lesquelles la CNIL peut autoriser une diffusion anticipée assortie de conditions (par exemple, dispositifs empêchant l’aspiration automatique des données).

20. Sur le plan technique, l’article L. 300‑4 du CRPA et le Référentiel général d’interopérabilité (RGI) imposent la fourniture des documents dans un format ouvert, aisément réutilisable et exploitable par un système de traitement automatisé, dès lors que l’administration en dispose ou peut l’obtenir par une opération de transfert, conversion ou reproduction courante. Le standard choisi doit être uniformisé pour un même jeu de données, lisible par machine et, de préférence, non propriétaire (par exemple CSV) afin de garantir l’interopérabilité, l’accès, la gratuité et la durabilité des données. Des métadonnées détaillées (source, thème, auteur, dates, etc.) doivent accompagner les jeux de données. La consultation en ligne de documents librement communicables ne peut être subordonnée à la création d’un compte personnel que si cette création est automatique, sans validation par l’usager.

8. Licences de réutilisation et principes économiques de l’open data

21. La section consacrée aux licences de réutilisation rappelle que l’esprit de la réutilisation des données publiques est d’être aussi libre que possible, afin de multiplier les usages et de favoriser l’innovation. Les conditions de licence ne peuvent apporter de restrictions que pour des motifs d’intérêt général, de manière proportionnée, et ne doivent pas restreindre la concurrence. La mise à disposition à titre gratuit est le principe : il n’existe pas d’obligation de fixer une licence, mais les administrations sont fortement invitées à le faire pour clarifier les droits et obligations des réutilisateurs. Pour éviter la prolifération des licences, une liste limitée de licences utilisables est établie par décret et publiée sur data.gouv.fr. En cas de besoin spécifique, une administration peut demander l’homologation d’une licence particulière.

22. La mise à disposition à titre onéreux constitue une exception, réservée à certaines administrations dont l’activité principale consiste en la production et la mise à disposition d’informations publiques financées majoritairement par des recettes propres (par exemple Météo‑France, IGN), et aux bibliothèques, musées et archives pour les informations issues de la numérisation de leurs collections. Dans ces cas, la fixation d’une licence est obligatoire, et plusieurs licences peuvent coexister pour un même jeu de données (par exemple, licence payante pour les usages commerciaux et gratuite pour les usages non commerciaux). Les conditions de réutilisation, le cas échéant le montant des redevances et les bases de calcul, doivent eux‑mêmes être publiés en open data dans un standard ouvert.